W101 2284403-1 – Bundesverwaltungsgericht Entscheidung

W101 2284403-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde der XXXX GmbH, vertreten durch RA Mag. Peter RIEHS, gegen das Straferkenntnis der Datenschutzbehörde vom 14.12.2023, GZ. D550.725, 2023-0.570.521, nach Durchführung einer mündlichen Verhandlung am 20.12.2024 zu Recht erkannt:

A)

I. Die Beschwerde wird in den Schuldfragen mit der Maßgabe als unbegründet abgewiesen, dass in den Spruchteilen I. und II. des o.a. Straferkenntnisses erster Satz jeweils hinsichtlich des Tatzeitraums die Wort- und Zeichenfolge „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ mit der Wort- und Zeichenfolge „im Zeitraum vom 01.02.2021 bis 28.10.2022“ ersetzt wird.

II. Gemäß § 50 VwGVG wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise stattgegeben und die Strafe auf € 1.100,00 herabgesetzt.

III. Die Beschwerdeführerin hat gemäß § 64 Abs. 1 VStG einen Kostenbeitrag von € 110,00 zum Strafverfahren vor der belangten Behörde zu leisten, das sind 10% der nunmehr verhängten Strafe.

IV. Gemäß § 52 Abs. 8 VwGVG hat die Beschwerdeführerin keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

Am 19.10.2022 übermittelte die XXXX (im Folgenden: XXXX ) der Datenschutzbehörde eine Sachverhaltsdarstellung und führte im Wesentlichen aus, dass die XXXX GmbH (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte vor der Datenschutzbehörde) Betreiberin einer Videoüberwachungsanlage sei, die den öffentlichen Raum erfasse. Die XXXX ersuchte sohin um datenschutzrechtliche Prüfung des angezeigten Sachverhaltes und übermittelte im Zuge der Anzeige ein Lichtbild über den Aufnahmebereich der Anlage.

Die Datenschutzbehörde leitete in der Folge gegen die Beschwerdeführerin ein Verwaltungsstrafverfahren ein und forderte sie bzw. deren Geschäftsführer mit Schreiben vom 24.10.2022 zur Rechtfertigung in Bezug auf den Betrieb der Videoüberwachungsanlage am Tatort sowie der mangelnden Informationserteilung gegenüber den Betroffenen auf. Es bestand der Verdacht, dass die Beschwerdeführerin in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls im Zeitraum vom 01.12.2021 bis einschließlich 16.10.2022 in XXXX unrechtmäßig personenbezogene Daten verarbeitet habe, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe, die sowohl einen Teilbereich des angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX erfasst habe. Dadurch bestehe der Verdacht, dass die gegenständliche Verarbeitung nicht dem Zweck angemessen und nicht auf das notwenige Maß beschränkt gewesen sei. Darüber hinaus war die Beschwerdeführerin aufgefordert worden, ihren Jahresumsatz sowie Gewinne/Verluste des Vorjahres sowie sonstige zur Verteidigung dienliche Beweismittel vorzulegen.

Mit Stellungnahme vom 13.11.2022 gab die Beschwerdeführerin betreffend das Verwaltungsstrafverfahren im Wesentlichen Folgendes an:

Ihr sei nicht bekannt gewesen, dass der Betrieb der gegenständlichen Videoüberwachungsanlage in der konkreten Form nicht erlaubt sei. Daher sei die Anlage unverzüglich entfernt worden und werde inzwischen auch nicht mehr betrieben, was aus dem beigelegten Lichtbild ersichtlich sei. Darüber hinaus legte die Beschwerdeführerin ihre Gewinn- und Verlustrechnung des Jahres 2021 vor.

Mit Bescheid vom 04.01.2023, GZ. D550.725, 2022-0.809.515, setzte die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren gemäß § 24 VStG iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) aus.

Mit Bescheid vom 05.12.2023, GZ. D550.725, 2023-0.805.038, behob die Datenschutzbehörde von Amts wegen den Aussetzungsbescheid vom 04.01.2023 und setzte das gegenständliche Verwaltungsstrafverfahren – unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fort.

Mit Straferkenntnis vom 14.12.2023, GZ. D550.725, 2023-0.570.521, sprach die Datenschutzbehörde aus, die Beschwerdeführerin habe als Verantwortliche gemäß Art. 4 Z 7 DSGVO nachstehende Sachverhalte verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:

I. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in XXXX (im Folgenden „Tatort“), unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe. Der Aufnahmebereich der Videoüberwachungsanlage habe einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX umfasst. Die Datenverarbeitung durch die Beschwerdeführerin mittels der Anlage am Tatort sei daher nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt gewesen und habe im Ergebnis auf keine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt werden können.

II. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche darüber hinaus zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in XXXX (im Folgenden „Tatort“), gegen ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen, indem sie am Tatort keine Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den betroffenen Personen vorgenommen habe, um sie über die Verarbeitung durch die Videoüberwachungsanlage zu informieren. Dadurch seien die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die oben dargestellte Verarbeitung im Sinne der Art. 12 und 13 DSGVO informiert worden.

Die Beschwerdeführerin habe daher im Ergebnis gegen folgende Vorgaben der DSGVO verstoßen:

 Die rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO

 Die Informationspflicht von Verantwortlichen bei Erhebung personenbezogener Daten unmittelbar bei der betroffenen Person nach Art. 13 DSGVO

 Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise nach Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“)

 Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten nach Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung)

Aufgrund dieser Verwaltungsübertretungen war über die Beschwerdeführerin eine Geldstrafe iHv € 3.190,00 zuzüglich € 319,00 als Beitrag zu den Kosten des Strafverfahrens verhängt worden.

In diesem Straferkenntnis traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Die Beschwerdeführerin betreibe am Tatort eine Werkstatt und übe das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus. Am Tatort (konkret oberhalb und seitlich neben der Einfahrt zur Werkstatt) sei von ihr in einem nicht näher feststellbaren Zeitraum, jedoch zumindest vom 01.12.2021 bis 28.10.2022 eine Videoüberwachungsanlage betrieben worden, die primär zum Schutz ihres Eigentums gedient habe. Die Anlage habe dabei einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX (Aufnahmebereich) erfasst.

Die Videoüberwachungsanlage sei im gesamten Tatzeitraum nicht gekennzeichnet gewesen und es sei auch sonst keine Informationserteilung an die betroffenen Personen über den Betrieb der gegenständlichen Anlage erfolgt.

Die Aufzeichnungen der Anlage seien für einen Zeitraum von 24 Stunden gespeichert und in Folge automatisch gelöscht worden.

Die Anlage sei zu einem nicht näher feststellbaren Zeitpunkt, jedoch jedenfalls nach Zustellung der Aufforderung zur Rechtfertigung abmontiert und die noch vorhandenen Aufzeichnungen gelöscht worden.

Die Beschwerdeführerin habe im Zeitraum vom 01.01.2021 bis 31.12.2021 Umsatzerlöse in der Höhe von € 190.899,01 erzielt.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zur Rechtmäßigkeit der Videoüberwachungsanlage (Spruchteil I.):

Die Beschwerdeführerin habe im vorliegenden Fall zwar ein berechtigtes Interesse am Betrieb der Videoüberwachungsanlage (Schutz ihres Eigentums) gehabt, jedoch sei die konkrete Verarbeitung bzw. die Einstellung des festgestellten Aufnahmebereichs nicht erforderlich und somit auch nicht das gelindeste Mittel gewesen, um die genannten Interessen zu gewährleisten.

Außerdem komme man auch nach Durchführung einer Interessenabwägung zum Ergebnis, dass die Geheimhaltungsinteressen und Grundrechte der Betroffenen das Interesse der Beschwerdeführerin überwiegen würden.

Im Ergebnis sei die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO für die konkrete Verarbeitung nicht einschlägig. Die Verarbeitung der Bilddaten durch die gegenständliche Videoüberwachungsanlage sei somit unrechtmäßig erfolgt. Damit sei der objektive Tatbestand eines Verstoßes gegen die Grundsätze für die Verarbeitung des Art. 5 Abs. 1 lit. a und c und des Art. 6 Abs. 1 lit. f DSGVO erfüllt, da weder dem Grundsatz der Rechtmäßigkeit der Datenverarbeitung noch dem Grundsatz der Datenminimierung gefolgt worden sei, noch ein ausreichend berechtigtes Interesse gegeben wäre.

Zum Verstoß gegen die Informationspflicht (Spruchteil II.):

Die Beschwerdeführerin habe im Tatzeitraum gar keine Kennzeichnung der Videoüberwachungsanlage vorgenommen oder die Betroffenen in einer anderen Form über die Verarbeitung informiert. Somit habe sie gegen das Transparenzgebot und ihre Informationspflichten nach Art. 5 Abs. 1 lit. a iVm Art. 12 und Art. 13 DSGVO verstoßen. Die Beschwerdeführerin habe somit auch die objektive Tatseite betreffend Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO erfüllt.

Zur subjektiven Tatseite:

Dem Urteil des EuGH vom 05.12.2023, Zl. C-807/21, zufolge sei es für die Verhängung einer Geldbuße gegen eine juristische Person nicht erforderlich, dass die Datenschutzbehörde eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person gehandelt habe, in ihrer Entscheidung anführe und das Handeln dieser Person der juristischen Person zurechne. Es sei daher im vorliegenden Fall auch nicht entscheidungserheblich, ob der ebenfalls als Beschuldigter geführte Geschäftsführer der Beschwerdeführerin die gegenständlichen Verstöße zu verantworten gehabt habe.

Die Beschwerdeführerin habe als Verantwortliche gemäß Art. 4 Z 7 DSGVO beschlossen, dass für die festgestellten Zwecke eine Videoüberwachungsanlage am Tatort montiert und in Betrieb genommen werde und dies ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen. Im Hinblick auf die subjektive Tatseite liege jedenfalls Verschulden in Form von Fahrlässigkeit (Art. 83 Abs. 2 lit. b DSGVO) vor.

Zur Strafzumessung:

Gemäß Art. 83 Abs. 1 DSGVO habe die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sei.

Die Beschwerdeführerin habe im Jahr 2021 einen Jahresumsatz iHv € 190.899,01 erzielt. Unter Anwendung der Fines-Leitlinien werde sie in Bezug auf ihren Umsatz und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße in die niedrigste Kategorie eingestuft. Durch diese Einstufung werde die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten.

Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen seien (Art. 83 Abs. 2 lit. g DSGVO), werde von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem mittleren Schweregrad („medium level of seriousness“) festgelegt.

Bezogen auf den vorliegenden Sachverhalt seien darüber hinaus bei der Strafzumessung die Tatsache, dass gegen die Beschuldigte bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden, die Mitwirkung der Beschwerdeführerin im gegenständlichen Ermittlungsverfahren und der Umstand, dass die Beschwerdeführerin umgehend nach Zustellung der Aufforderung zur Rechtfertigung die gegenständliche Verarbeitung nicht weiter fortsetzt habe, mildernd berücksichtigt worden.

Des Weiteren seien generalpräventive Gründe mitberücksichtigt worden.

Die im Ergebnis konkret verhängte Strafe iHv € 3.190,00 erscheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu € 20.000.000,00) tat- und schuldangemessen und befinde sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,01% des Strafrahmens).

In der gegen dieses Straferkenntnis fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen Folgendes vor:

Die von der belangten Behörde vorgenommene Interessenabwägung, dass das Interesse der Beschwerdeführerin, den Eingangsbereich ihrer Werkstatt sowie die davorliegende Fläche durch eine Bildverarbeitungsanlage zu überwachen, um ihr Eigentum zu schützen das Interesse der Betroffenen an einem Schutz iSd DSGVO nicht überwiegen würden, sei nicht richtig. Die Tore dieser KFZ-Werkstatt seien insbesondere in den warmen Monaten dauerhaft geöffnet, um den Kunden ein Zu- und Wegfahren aus der Werkstatt zu ermöglichen sowie für entsprechende Frischluftzufuhr der Mitarbeiter zu sorgen. Dies bedeute, dass unmittelbar neben dem Gehsteig bereits der Werkstättenbereich beginne, der nicht durch eine entsprechende, geschlossene Tür abgegrenzt sei, sodass jeder Passant ohne weiteres in die Werkstatt gelangen könnte, wo sich nicht nur Eigentum der Beschwerdeführerin, sondern auch Fremdeigentum (Fahrzeuge, die zu reparieren seien,) und Mitarbeiter befinden würden. Dementsprechend habe die Beschwerdeführerin ein berechtigtes Interesse daran, hier Vorsorge zu treffen, jener Personen gewahr zu werden, welche die Werkstattfläche betreten könnten. Hinzu komme, dass immer wieder sowohl ihre Mitarbeiter als auch Kunden diese Gehsteigfläche überfahren und damit in die Gefahr gelangen würden, mit den dortigen Fußgängern zu kollidieren, auch hier bestehe ein berechtigtes Interesse daran, derartige mögliche Vorfälle aufzuzeichnen, um ein mögliches Verschulden auch im Sinne der betroffenen Fußgänger zu klären. Dies bedeute, dass die gegenständliche Bildverarbeitungsanlage nicht nur diesem Interesse der Beschwerdeführerin diene, sondern auch dem Interesse der Allgemeinheit (und damit im Interesse der betroffenen Personen), da diesen im Falle eines rechtswidrigen Unfalles der Beweis des Verschuldens einfach gemacht werden könnte.

Betreffend die nicht-vorhandene Kennzeichnung sei darauf hinzuweisen, dass die Bildverarbeitungsanlage in ihrer Art so offensichtlich und deutlich sichtbar gewesen sei, dass eine zusätzliche Kennzeichnung nur eine Wiederholung der ohnedies sichtbaren Bildverarbeitungsanlage gewesen wäre und die Kennzeichnung schon in der deutlich sichtbaren Anbringung der Bildverarbeitungsanlage gegeben gewesen sei.

Schließlich sei sie der Meinung, dass ihr Verschulden als gering einzustufen sei, sodass die Verhängung der gegenständlichen Geldstrafe nicht dem Tatbild angemessen sei, weswegen hier lediglich eine Abmahnung ausreichend wäre.

Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge nach Durchführung einer mündlichen Verhandlung das angefochtene Straferkenntnis aufheben und das Strafverfahren einstellen.

Mit Schreiben der Datenschutzbehörde vom 12.01.2024, eingelangt am 16.01.2024, war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.

Mit Schriftsatz vom 16.12.2024 brachte die Beschwerdeführerin – wie in der Ladung zur mündlichen Verhandlung aufgefordert – ihre Jahresabschlüsse der Jahre 2021 und 2022 zur Vorlage.

Am 20.12.2024 fand sodann eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, an der ein Vertreter der Datenschutzbehörde, der informierte Vertreter der beschuldigten juristischen Person (Geschäftsführer) sowie deren Verteidiger teilnahmen und in der XXXX , der von der XXXX die unzulässige Videoüberwachung bei der Datenschutzbehörde angezeigt hatte, als Zeuge einvernommen worden war.

Am Ende der mündlichen Verhandlung war die Beschwerdeführerin aufgefordert worden, Nachweise der vom Geschäftsführer genannten Jahresumsätze in den Jahren 2023 und 2024 spätestens bis zum 31.01.2025 vorzulegen. Im Protokoll war nach Schluss des Beweisverfahrens gemäß § 47 Abs. 2 VwGVG festgehalten worden, dass nur im Falle der fristgerechten Vorlage der geforderten Nachweise die Jahresumsätze 2023 und 2024 im Rahmen der Strafbemessung Berücksichtigung finden können.

Am 30.01.2025 brachte die Beschwerdeführerin ihren Jahresabschluss 2023 und ihre Saldenliste 2024 zur Vorlage.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin betreibt am Standort XXXX , eine Werkstatt und übt das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus.

Der Geschäftsführer der Beschwerdeführerin ist XXXX .

Die Beschwerdeführerin hat im Zeitraum vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt betrieben, wobei vom Aufnahmebereich der Videoüberwachungsanlage ein Teil des an der Werkstatt angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße XXXX in XXXX erfasst wurden.

Die Beschwerdeführerin hat diese Videoüberwachungsanlage straßenseitig im Bereich des Eingangstors der Werkstatt angebracht, um ihr Eigentum sowie das Eigentum ihrer Kunden zu schützen und um mögliche Straftaten im Aufnahmebereich zu dokumentieren bzw. um potenzielle Täter leichter ausfindig machen zu können. Die Aufzeichnungen der Videoüberwachungsanlage wurden für einen Zeitraum von 24 Stunden gespeichert und in der Folge automatisch gelöscht.

Im Oktober 2022 wurde das dem Geschäftsführer gehörende Auto, welches direkt vor der Einfahrt der Werkstatt – also im Aufnahmebereich der Kamera – geparkt war, von einem anderen Auto beim Einparken beschädigt. Danach hat der Geschäftsführer die aufgenommenen Bilder der Videoüberwachung kontrolliert. Im Zuge dieser Bilddatenkontrolle hat er festgestellt, dass zwar das Auto, mit welchem der Schaden an seinem eigenen Auto verursacht wurde, gut zu erkennen war, dessen Kennzeichen aber nicht. Daher hat er vom Bildschirm mit seinem Handy ein Foto angefertigt, auf welchem dieses Auto zu sehen war. Zum Zweck der Kennzeicheneruierung des Unfallgegners hat der Geschäftsführer sodann im Zuge einer Anzeigenerstattung bei der Polizeiinspektion wegen Sachbeschädigung an seinem vor der Werkstatt auf der öffentlichen Straße abgestellten Auto im Polizeikommissariat XXXX ein von der Videoüberwachungsanlage stammendes Foto vorgelegt, auf dem auch ein Teil des öffentlichen Gehsteigs und ein Teil der öffentlichen Straße zu sehen war.

Angemerkt wird, dass die Übermittlung des besagten Fotos an das Polizeikommissariat XXXX durch deren Mitteilung an die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren ins Rollen gebracht hat.

Abgesehen von diesem einen Vorfall sind zu keinem Anlass jemals Fotos von den Aufnahmen der Videoüberwachungsanlage gemacht und gespeichert worden. Andere Bilddaten von Personen oder Autos sind demzufolge nicht gespeichert, sondern immer automatisch nach 24 Stunden gelöscht worden.

Die Videoüberwachungsanlage war im gesamten Tatzeitraum nicht gekennzeichnet und es erfolgte auch sonst keine Informationserteilung an die betroffenen Personen über den Betrieb der gegenständlichen Videoüberwachungsanlage.

Die Videoüberwachungsanlage wurde unmittelbar nach Zustellung der Aufforderung zur Rechtfertigung am 28.10.2022 abmontiert und ist seither nicht mehr in Verwendung. Etwaige Aufnahmen auf der Speicherkarte wurden gelöscht. Die Beschwerdeführerin beabsichtigt in Zukunft keine Videoüberwachungsanlagen in der oben dargestellten Form zu betreiben.

Die Beschwerdeführerin erzielte in den Jahren 2021, 2022, 2023 und 2024 Umsatzerlöse iHv € 190.889,01, € 222.596,66, € 160.581,70 und € 149.618,97.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt.

Die obigen Feststellungen sind auf der Grundlage der in der mündlichen Verhandlung vom 20.12.2024 aufgenommenen Beweise getroffen worden.

Dass die Beschwerdeführerin als beschuldigte juristische Person am Standort XXXX , eine Werkstatt betreibt und XXXX deren Geschäftsführer ist, gründen sich insbesondere auf dem Auszug aus dem Firmenbuch (= Beilage Nr. 1 des Verhandlungsprotokolls).

Die Feststellungen zum Betrieb der gegenständlichen Videoüberwachungsanlage und zu ihrem Aufnahmebereich ergeben sich aus den glaubwürdigen Angaben des Geschäftsführers in der Verhandlung vom 20.12.2024, aber auch aus seiner bei der belangten Behörde eingebrachten Rechtfertigung vom 13.11.2022. Zum Tatzeitraum gab der Geschäftsführer allerdings insbesondere in der Verhandlung an, die Videoüberwachungskamera sei – im Gegensatz zum festgestellten Anfangsdatum im angefochtenen Straferkenntnis – Anfang 2021, spätestens am 01.02.2021, installiert und ab diesem Zeitpunkt betrieben worden. Aus diesem Grund wurde der Tatzeitraum oben neu mit „01.02.2021 bis 28.10.2022“ festgestellt.

Die Feststellungen zum Verwendungszweck der Videoüberwachungskamera beruhen auf den diesbezüglich glaubhaften Angaben des Geschäftsführers in der Verhandlung (siehe Verhandlungsprotokoll S. 7).

Die Angaben in Bezug auf die Speicherdauer der Aufzeichnung der Videoüberwachungsanlage folgen aus der schriftlichen Rechtfertigung der Beschwerdeführerin vom 13.11.2022 sowie aus den glaubhaften Angaben des Geschäftsführers in der Verhandlung (siehe Verhandlungsprotokoll S. 8).

Die obigen Feststellungen zu dem Vorfall mit der Beschädigung des eigenen Autos im Aufnahmebereich der Videokamera ergeben sich aus den glaubwürdigen Angaben des Geschäftsführers (siehe Verhandlungsprotokoll S. 8).

Dass die Videoüberwachungsanlage durch die Beschwerdeführerin unmittelbar nach dem Erhalt der Aufforderung durch die Datenschutzbehörde zur Rechtfertigung abmontiert wurde, ergibt sich ebenfalls aus der diesbezüglich glaubhaften Darstellung des Geschäftsführers.

Zur Feststellung, dass sich die Kamera in diesem genannten Zeitraum auch grundsätzlich im Betrieb befand, gelangt der erkennende Senat vor allem durch die entsprechenden Angaben des Geschäftsführers, der auf Befragung des Vertreters der Datenschutzbehörde in der Verhandlung glaubhaft angab, dass während der Betriebszeiten der Werkstatt dauernd die Bilddaten im Aufnahmebereich aufgezeichnet wurden und außerhalb der Öffnungszeiten der Werkstatt die Videoüberwachungskamera allerdings nur über einen Bewegungsmelder aktiviert wurde (siehe Verhandlungsprotokoll S. 13).

Dass die gegenständliche Videoüberwachungsanlage nicht gekennzeichnet war, wurde durch den Geschäftsführer selbst bestätigt (siehe Verhandlungsprotokoll S. 14). Daher hat die obige diesbezügliche Feststellung getroffen werden können.

Dass die Kamera spätestens am 28.10.2022 abmontiert wurde bzw. seitdem nicht mehr in Verwendung ist und etwaige Aufnahmen auf der Speicherkarte gelöscht wurden, ist unstrittig.

Die Feststellungen zu den Einkommens- und Vermögensverhältnissen der Beschwerdeführerin beruhen auf den vorgelegten Jahresabschlüssen der Jahre 2021, 2022, 2023 sowie der vorgelegten Saldenliste 2024.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Anzuwendende Rechtslage:

3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4 – Begriffsbestimmungen:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. - 26. (…)

Artikel 5 – Grundsätze für die Verarbeitung personenbezogener Daten:

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6 – Rechtmäßigkeit der Verarbeitung:

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstatten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitung gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogen Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann

Artikel 12 – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person:

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.

Artikel 13 – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person:

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Artikel 77 – Recht auf Beschwerde bei einer Aufsichtsbehörde:

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.

Artikel 83 - Allgemeine Bedingungen für die Verhängung von Geldbußen:

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

[…]

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10.000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweiten erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

[…]

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze der Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b) die Rechte der betroffenen Personen gemäß den Artikeln 12 bis 22;

[…]

3.3.1.2. Die maßgeblichen Bestimmungen des DSG:

Beschwerde an die Datenschutzbehörde:

§ 24 (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.3.1.3. Die maßgeblichen Bestimmungen des VStG:

Strafen:

§ 10 (1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.

Strafbemessung:

§ 19 (1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.

Kosten des Strafverfahrens:

§ 64 (1) In jedem Straferkenntnis ist auszusprechen, daß der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat.

(2) Dieser Beitrag ist für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen; bei Freiheitsstrafen ist zur Berechnung der Kosten ein Tag Freiheitsstrafe gleich 100 Euro anzurechnen. Der Kostenbeitrag fließt der Gebietskörperschaft zu, die den Aufwand der Behörde zu tragen hat.“

3.3.2. Zu den Beschwerdegegenständen:

3.3.2.1. Erfüllung des objektiven Tatbestands

Die belangte Behörde ging davon aus, dass durch die im vorliegenden Fall erfolgte Bildverarbeitung der Videoüberwachungskamera der sachliche Anwendungsbereich von Art. 2 und 3 DSGVO eröffnet sei, diese eine Verarbeitung personenbezogener Daten iSd Art. 4 Z 1 und 2 DSGVO darstelle und die Beschwerdeführerin als Verantwortliche dieser Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO zu qualifizieren sei. Dies steht auch für den erkennenden Senat nicht in Frage.

Die belangte Behörde hat den Tatzeitraum mit „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ bestimmt. Wie bereits oben festgestellt, war aufgrund der Angaben des Geschäftsführers der Beschwerdeführerin der Tatzeitraum konkret mit „01.02.2021 bis 28.10.2022“ zu bestimmen.

3.3.2.1.1. Betrieb der Videoüberwachungsanlage (1. Tatbestand):

Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung): Eine Gesamtbetrachtung des Grundsatzes der Datenminimierung inklusive seines Gebots der Beschränkung auf das notwendige Maß ergibt, dass darin die Gebote der Datenvermeidung und Datensparsamkeit enthalten sind, und sich die Anwendung auf zahlreiche Aspekte auffächert, die sich zum Teil mit dem Grundsatz der Zweckbindung und dem Grundsatz der Speicherbegrenzung überschneiden: Der Grundsatz der Datenminimierung beschränkt generell die Eingriffstiefe und damit die Art der Daten, den Personenbezug der Daten, die Menge der Daten, den Detailgrad der Daten, die Speicherdauer der Daten, die Anzahl der Nutzungen und den Kreis der Zugriffsberechtigten. Die Minimierung der Datenmenge bedeutet sowohl die Minimierung der Anzahl der Betroffenen als auch die Minimierung der Datenmenge pro Betroffenem. (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO, Rz 39 [Stand 07.05.2020, rdb.at]).

Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Diese berechtigten Interessen stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, mit zu berücksichtigen. Das Konzept der vernünftigen Erwartungen der betroffenen Person ist nicht empirisch, sondern normativ zu verstehen, ansonsten würde man unzulässigerweise vom Sein auf das Sollen schließen; es kommt daher darauf an, ob die betroffene Person die subjektive Erwartung hat, geschützt sein zu sollen, und diese Erwartung objektiv legitim ist. Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der belangten Behörde und dem OGH in ihrer Entscheidungspraxis herangezogen wird:

1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,

2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und

3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person.

Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten. Fällt diese Interessenabwägung zugunsten des Verantwortlichen oder eines Dritten aus, ist die Verarbeitung grundsätzlich zulässig (unter Beachtung der weiteren, vorgenannten Voraussetzungen, sowie insb. des Art. 5 DSGVO). Für die Vornahme der Interessenabwägung ist der Verantwortliche zuständig und nachweispflichtig (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO [Stand 07.05.2020, rdb.at]).

Wie oben bereits festgestellt, betrieb die Beschwerdeführerin vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt in der XXXX , bei der der Kamerawinkel so eingestellt war, dass ein Teil des am Tatort angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße XXXX in XXXX erfasst wurden.

Die Beschwerdeführerin benutzte diese Videoüberwachungsanlage um ihr Eigentum sowie das Eigentum ihrer Kunden zu schützen und um mögliche Straftaten ihre Werkstatt betreffend zu dokumentieren und um potenzielle Täter leichter ausfindig machen zu können. Abgesehen von dem Vorfall mit dem beschäftigten Auto des Geschäftsführers im Oktober 2022, als zu dem genannten Zweck ein Foto vom Bildschirm der Videoüberwachungsanlage angefertigt wurde, sind zu keinem Anlass weitere Fotos von der Videoüberwachungsanlage gemacht und gespeichert worden.

Der belangten Behörde ist dahingehend zu folgen, wenn sie vermeint, dass im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig in den Aufnahmebereich der Bildaufnahme gelangenden Fußgänger und Verkehrsteilnehmer ein allfälliges Interesse am Betrieb der Bildaufnahme überwiegt, und zwar aus folgenden Erwägungen:

Die Beschwerdeführerin hat ein rechtfertigendes Interesse des iSd Art. 6 Abs. 1 lit. f DSGVO am Betrieb der Bildaufnahme vor (Schutz ihres Eigentums, Schutz des Eigentums ihrer Kunden, Ausforschung potenzieller Straftäter) vorgebracht. Allerdings wird ein maßgeblicher Bereich des – vor der Werkstatt liegenden – öffentlichen Raumes von der Videokamera erfasst und zufällig dort vorbeikommende Fußgänger und Verkehrsteilnehmer – bei welchen es sich naturgemäß auch nicht ausschließlich um Kunden der Beschwerdeführerin handeln muss – müssen vernünftigerweise nicht damit rechnen, dass sie am erfassten Gehsteig bzw. Straßenteil aufgenommen werden. Im Ergebnis ist der belangten Behörde daher zuzustimmen, dass die gegenständliche Videoüberwachungsanlage auch zur Erfüllung des genannten Zwecks nicht auf das notwendige Maß beschränkt war und darüber hinaus die Geheimhaltungsinteressen der betroffenen Personen (die zufällig an der Werkstatt vorbeikommenden Fußgänger und Verkehrsteilnehmer) überwiegen, sodass im vorliegend die Tatbestandsvoraussetzungen des Art. 6 Abs. 1 lit. f DSGVO nicht erfüllt sind und sich die Datenverarbeitung als unrechtmäßig erweist. Eine andere rechtfertigende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO ist für den erkennenden Senat nicht ersichtlich und wurde von der Beschwerdeführerin auch nicht vorgebracht.

Damit ist der objektive Tatbestand einer Verletzung des Art. 5 Abs. 1 lit. a und c und des Art. 6 Abs. 1 lit. f DSGVO erfüllt, da den Grundsätzen der Datenminimierung und der Rechtmäßigkeit der Datenverarbeitung nicht entsprochen wurde.

Die Strafbarkeit dieses Verstoßes gründet sich auf § 83 Abs. 1 und 5 DSGVO.

3.3.2.1.2. Fehlende Kennzeichnung der Videoüberwachungsanlage (2. Tatbestand):

Art. 5 Abs. 1 lit. a DSGVO sieht vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz).

In der DSGVO wird der Grundsatz der Transparenz durch Art. 13 und 14 zur Informationspflicht sowie Art. 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie gegebenfalls übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO [Stand 07.05.2020, rdb.at]).

Da die Beschwerdeführerin unbestritten es verabsäumt hat, entweder die Videoüberwachungsanlage zu kennzeichnen oder die betroffenen Personen in sonstiger Weise zu informieren, hat sie auch gegen das Transparenzgebot und ihre Informationspflichten nach Art. 5 Abs. 1 lit. a iVm Art. 12 und Art. 13 DSGVO verstoßen. Damit ist der objektive Tatbestand einer Verletzung des Art. 5 Abs. 1 lit. a DSGVO iVm Art. 12 und Art. 13 DSGVO verwirklicht worden.

Die Strafbarkeit dieses Verstoßes gründet sich ebenfalls auf Art. 83 Abs. 1 und 5 DSGVO.

3.3.2.2. Strafrechtliche Verantwortlichkeit und Verschulden der Beschwerdeführerin

Die belangte Behörde hielt im angefochtenen Straferkenntnis fest, dass die subjektive Tatseite ebenfalls erfüllt sei, da Verschulden in Form von Fahrlässigkeit (Art. 83 Abs. 2 lit. b DSGVO) vorliege.

Der Geschäftsführer der Beschwerdeführerin brachte dazu in der mündlichen Verhandlung lediglich vor, es sei ihm nicht bewusst gewesen, dass das Betreiben der Videoüberwachungsanlage in der gegenständlichen Konstellation verboten sei, und er habe nach Erhalt des Schreibens zur Rechtfertigung von der belangten Behörde die Kamera unverzüglich entfernt.

Hierzu ist zunächst festzuhalten, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist.

Unter Verweis auf die Rechtsprechung des EuGH (Urteil vom 05.12.2023, C-807/21) hat der Verwaltungsgerichtshof ausgesprochen, dass die „aus dem nationalen Recht [dem VStG] abgeleitete Vorgabe, wonach für eine Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Spruch des Straferkenntnisses alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufzunehmen seien, unangewendet (…) bleiben“ muss. Der EuGH stellte zudem in diesem Urteil ausdrücklich klar, dass die Anwendung von Art. 83 DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt (vgl. EuGH 05.12.2023, C-807/21, Rz 77). Die Verantwortung und Haftung eines/einer Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der/die Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH 05.12.2023, C-807/21, unter Verweis auf ErwGr 74).

Nach der Rechtsprechung des EuGH können nur Verstöße gegen Bestimmungen der DSGVO, die der/die Verantwortliche schuldhaft begangen hat, zur Verhängung einer Geldbuße führen. Verschulden liegt aber bereits dann vor, wenn der/die Beschuldigte sich über die Rechtswidrigkeit seines/ihres Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm/ihr dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 68, 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN).

Im vorliegenden Fall ist es unstrittig, dass die Verstöße von der Beschwerdeführerin begangen wurden. Es ist zwar nicht davon auszugehen, dass die Beschwerdeführerin als Verantwortliche iSd Art. 4 Z 7 DSGVO vorsätzlich gegen die Bestimmungen der Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. f sowie Art. 12 und Art. 13 DSGVO verstoßen hat, jedoch liegt im Sinne der Rechtsprechung des EuGH augenscheinlich Verschulden in Form von Fahrlässigkeit vor. Gegenständlich wurde durch die Beschwerdeführerin eine Videoüberwachungsanlage ab 01.02.2021 installiert und in Betrieb genommen, ohne sich vorab über die einschlägigen Verwaltungsvorschriften nach der DSGVO zu erkundigen.

Angesichts des Betreibens der konkreten Videoüberwachungsanlage konnte sich die Beschwerdeführerin nach der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens, über die Aufnahme von öffentlichen Bereichen und die Nichtkennzeichnung der Videoüberwachungsanlage, nicht im Unklaren sein, gleichviel, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt, wodurch ein Verschulden der Beschwerdeführerin in Form von Fahrlässigkeit jedenfalls gegeben ist.

Damit ist die subjektive Tatseite der Verstöße gegen Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. f DSGVO sowie Art. 12 und Art. 13 DSGVO im gegenständlichen Fall verwirklicht worden.

3.3.2.3. Strafbemessung

Mit dem angefochtenen Straferkenntnis wurde über die Beschwerdeführerin eine Geldstrafe iHv € 3.190,00 verhängt und die Beschwerdeführerin zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens iHv 10% der Strafe, sohin € 319,00, verpflichtet.

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).

Der Strafrahmen reicht gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag von € 20.000.000,00 oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist.

Bei der Bemessung der Geldbuße innerhalb dieses Bußgeldrahmens war für den erkennenden Senat Folgendes maßgebend:

Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall „gebührend“ zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.

Obwohl der Umsatz des Unternehmens in Art. 83 Abs. 2 DSGVO nicht ausdrücklich als Kriterium für die Bemessung der Geldbuße genannt wird, kommt dem Umsatz des Unternehmens bei der Bemessung der Geldbuße sehr wohl eine Bedeutung zu:

Das Landgericht Bonn führt in seinem Urteil vom 11.11.2020, 29 OWi 1/20, beispielsweise aus, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße Bedeutung zukommt: „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gemäß Art. 83 Abs. 1 DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden.“

Auch die Leitlinien des EDSA 04/2022 gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1/2021 des EDSA, Rz 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist, wobei laut Leitlinien auch die wirtschaftliche Überlebensfähigkeit bei der Verhältnismäßigkeit zu berücksichtigen ist (siehe die Leitlinien des EDSA 04/2022, Rz 63ff.)

Bei der Strafbemessung ist nicht der Umsatz im letzten abgeschlossenen Geschäftsjahr vor Erlass des Bußgeldbescheides/Straferkenntnisses zu berücksichtigen, sondern die im Entscheidungszeitpunkt des Bundesverwaltungsgerichtes aktuelle Einkommens- und Vermögenslage des Beschwerdeführers, zumal nur so sichergestellt werden kann, dass die Geldbuße zu dem Zeitpunkt, zu welchem sie beglichen werden muss (nach Erlass des Erkenntnisses des Bundesverwaltungsgerichtes) auch verhältnismäßig iSd Art. 83 Abs. 1 DSGVO ist. Diese Sichtweise deckt sich einerseits mit der Rechtsprechung des Verwaltungsgerichtshofes zu § 19 Abs. 2 VStG, wonach allfällige Veränderungen der Einkommens-, Vermögensverhältnisse im Laufe des Rechtsmittelverfahrens zu berücksichtigen sind (vgl. VwGH 29.01.2007, 2006/03/0155) andererseits auch mit den Ausführungen des EDSA zur wirtschaftlichen Überlebensfähigkeit, wonach das Unternehmen detaillierte Finanzdaten für die letzten fünf Jahre sowie Prognosen für das laufende und die nächsten zwei Jahre vorlegen muss (vgl. Leitlinien des EDSA 04/2022, Rz 140ff.).

Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse (und allfällige Sorgepflichten) des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).

Der festgestellte unzulässige Betrieb der Videoüberwachung und deren Nichtkennzeichnung waren potenziell dazu geeignet, eine große Zahl an Betroffenen (hier: sowohl zufällig am Außenbereich vorbeikommende Passanten als auch sonstige auf der angrenzenden Straße vorbeifahrenden Verkehrsteilnehmer) in deren grundrechtlich geschütztes Recht auf Geheimhaltung iSd § 1 DSG zu verletzen. Die aufgenommenen Bilddaten wurden jedoch automatisch nach 24 Stunden gelöscht mit der einen Ausnahme des vom Geschäftsführer aufgenommenen Fotos des Bildschirms nach der Beschädigung seines Autos, wobei auf diesem Foto keine betroffenen Personen abgelichtet waren. Da die Bilddaten Betroffener immer gelöscht wurden, geht der erkennende Senat von einem geringfügigen Schweregrad der Verstöße aus.

Die Verstöße wurden jeweils über einen längeren Zeitraum von mehr als 1,5 Jahren vollzogen.

Die Verstöße beruhten auf Fahrlässigkeit.

Erschwerend wurden von der belangten Behörde keine Umstände berücksichtigt und sind solche auch im Verfahren vor dem Bundesverwaltungsgericht nicht hervorgekommen.

Mildernd wurden von der belangten Behörde die Tatsachen gewertet, dass gegen die Beschwerdeführerin bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden, ihre Mitwirkung im gegenständlichen Ermittlungsverfahren und der Umstand, dass sie umgehend nach Zustellung der Aufforderung zur Rechtfertigung die gegenständliche Verarbeitung nicht weiter fortgesetzt habe.

Nach der Rechtsprechung des VwGH sind die Einkommens- und Vermögensverhältnisse des/der Beschuldigten bei der Bemessung von Geldstrafen im Sinne des § 19 Abs. 2 letzter Satz VStG zu berücksichtigen. Der VwGH führt dazu aus: „Dazu wurde in der hg Rechtsprechung bereits erkannt, dass die Verhängung einer Geldstrafe auch dann gerechtfertigt ist, wenn der Bestrafte kein Einkommen bezieht (Hinweis E vom 15. Oktober 2002, 2001/21/0087, mwN), und selbst das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht bedeutet, dass Anspruch auf Verhängung der Mindeststrafe besteht (Hinweis E vom 16. September 2009, 2009/09/0150, mwN) (VwGH vom 01.10.2014, Ra 2014/09/0022).

Die Beschwerdeführerin erzielte im Jahr 2022 einen Umsatzerlös iHv € 222.596,66.

Im Jahr 2024 hat die Beschwerdeführerin hingegen nur noch einen Umsatzerlös iHv € 149.618,97 erzielt.

Unter Berücksichtigung der dargestellten Rahmenbedingungen einer Strafbemessung ist der erkennende Senat der Ansicht, dass die Geldstrafe von der belangten Behörde in Höhe des Gesamtbetrags von € 3.509,00 zu hoch angesetzt wurde, weil – abgesehen von dem einen oben erwähnten Vorfall mit dem Parkschaden am Auto des Geschäftsführers der Beschwerdeführerin – zu keinem Anlass sonst jemals Fotos des Bildmaterials der Videoüberwachungskamera vor der Löschung gemacht und andere Bilddaten von Personen oder Autos nach 24 Stunden immer automatisch gelöscht worden sind. Auch hat die Beschwerdeführerin sich nach Bekanntwerden möglicher Verstöße gegen die DSGVO darum gekümmert, dass der Zustand unverzüglich beseitigt wird, was nach Meinung des erkennenden Senats als besonderer Milderungsgrund zu werten ist.

Darüber hinaus sind durch die Beschwerdeführerin keine weiteren derartigen Verstöße nach der DSGVO zu befürchten.

Ausgehend von der kleinen Größe der KFZ-Werkstatt und einem Umsatzerlös von nur ca. € 150.000 im Jahr 2024 erscheint für den erkennenden Senat für die verwirklichten Verstöße nach der DSGVO eine Geldstrafe iHv € 1.100,00 tat- und schuldangemessen.

3.3.2.4. Aus den oben dargelegten Gründen wird die Beschwerde in den Schuldfragen hinsichtlich der Spruchteile I. und II. des o.a. Straferkenntnisses mit einer Maßgabenabänderung des jeweiligen Spruchs zum Tatzeitraum spruchgemäß abgewiesen.

Hingegen wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise stattgegeben und die Strafe spruchgemäß herabgesetzt.

3.3.2.5. Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens:

Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit € 10,00 zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf € 110,00 zu reduzieren.

Da der Beschwerde teilweise Folge gegeben wurde, waren der Beschwerdeführerin keine Kosten des Beschwerdeverfahrens aufzuerlegen (§ 52 Abs. 8 VwGVG).

3.3.2.6. Zahlungsinformation:

Die Beschwerdeführerin hat den Gesamtbetrag von € 1.210,00 (Strafe und Kosten des verwaltungsbehördlichen Strafverfahrens) binnen zwei Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben wird.

3.4. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (wie oben unter 3.3.2. ausgeführt), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.